1/6 Procedimiento nº.: E/01510/2019 ASUNTO: Recurso de Reposición Nº RR/00663/2019 181-150719 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01510/2019, y en base a los siguientes: HECHOS PRIMERO: Con fecha 19 de septiembre de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01510/2019, procediéndose al archivo de actuaciones en el que reclamaba la presunta falta de información sobre protección datos en el impreso facilitado a los ciudadanos para plantear cuestiones ante el consistorio. Dicha resolución, que fue notificada al recurrente en fecha 21 de septiembre de 2019, según consta en la confirmación de la recepción de la notificación. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 23 de septiembre de 2019, recurso de reposición, en el que muestra su disconformidad con la resolución, fundamentándolo básicamente en las mismas alegaciones que ya resultaron analizadas en la resolución ahora recurrida. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, que reiteran básicamente las ya realizadas en el escrito de denuncia, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, cuyos fundamentos continúan plenamente vigentes. “De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Asimismo, el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece que “la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se denuncia una presunta vulneración del artículo 13 del RGPD que garantiza el derecho de Información que deberá facilitarse cuando los datos personales se obtengan del interesado. En este caso concreto se denuncia la falta de información sobre protección de datos en el impreso facilitado a los ciudadanos para plantear cuestiones ante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 consistorio. Pues bien, esta Agencia ha constatado que dicha entidad va a disponer de nuevos formularios una vez finalice el procedimiento de contratación del suministro de impresos, debidamente adaptados a la legislación de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran”. III Respecto a lo alegado por el reclamante de la decisión de la Agencia Española de Protección de Datos de no incoar actuaciones inspectoras y no iniciar el procedimiento sancionador no puede estimarse acorde ni proporcionada, se hace necesario recordar que el denunciante, “incluso cuando se considere a sí mismo “víctima” de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado (…) El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora –en este caso, la AEPD- y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. En estos términos se ha pronunciado la Audiencia Nacional en su sentencia de 2 de junio de 2015, en la que recuerda que, de conformidad con la jurisprudencia del Tribunal Supremo (STS de 9 de junio de 2014), para lo que sí se reconoce legitimación al denunciante es “para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora”. A lo anteriormente expuesto, procede añadir que el artículo 65 de la LOPDGDD, establece que: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
- a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En relación con el cumplimiento de los plazos, el recurrente debe saber que la entrada de la reclamación en esta Agencia fue el 25 de junio de 2018 y se produce la apertura del expediente E/04772/2018 y a partir de este momento hay tres meses para admitir a trámite y seis para resolver, tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, se acordó inadmitir dicha reclamación con fecha 23 de julio de 2018, tras considerar que no se apreciaban indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. En fecha 27 de julio de 2018 el reclamante formula recurso de reposición, RR/00638/2018, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el E/04772/2018. Dicho recurso de reposición es estimado, el 3 de octubre de 2018. procediéndose a la apertura del expediente E/01510/2019. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite (artículo 67 de la LOPDGD). Pues bien, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, el 26 de febrero de 2019. El 19 de septiembre de 2019 se dictó resolución en relación con el E/01510/2019, acordándose el archivo de las actuaciones. Por lo tanto, se ha resuelto dentro de los plazos que recoge la normativa, y ante dicha resolución se interpone el presente recurso de reposición. Ahora bien, como se recogió en la resolución recurrida el reclamado manifestó a esta Agencia y ha constatado que dicha entidad va a disponer de nuevos formularios una vez finalice el procedimiento de contratación del suministro de impresos, debidamente adaptados a la legislación de Protección de Datos. A mayor abundamiento, tal como se señaló en la resolución ahora recurrida: “Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. En este sentido, podría formular una nueva reclamación, en el caso de que no se instauren las medidas informadas por el Ayuntamiento, en relación con el tratamiento de datos. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos, documentos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 19 de septiembre de 2019, en el expediente de actuaciones previas de inspección E/01510/2019. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada al interesado. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es